【海外リスクセミナー】 海外拠点の危機管理と海外事案の情報収集の手法

 

当社は、複合機やプリンターなどの情報機器を中心に、製品の開発・生産・販売・サービス等を行っています。売り上げの構成を地域別にみると、およそ日本で35％、アメリカ地域で30％、欧州・中近東・アフリカ地域で25％、日本を除くアジアとオセアニア地域で10％となっています。

私が担当するリスクマネジメント部は、国内外のリコーグループのリスクマネジメントに関する方針を作り、施策を推進する役割りを担っています。また、コンプライアンスと危機管理については直接担当主管区としての役割も持っています。2015年度からは、リスク対応方法の一つとしてグループの損害保険業務についても担当しています。

本日お話する２つのポイントは「海外を含むグループ会社で発生する重大なインシデントについて、どのように日本本社が把握し、それを活用しているか」「海外のグループ会社や従業員・その家族に起こりうる危機に対し、どのように備えるか」についてです。
 

重要なインシデントの報告

以前は、インシデントを担当する各々の部門が、個別のルールを作成し情報を集め対応していました。 情報収集の仕組みは皆バラバラだったので、報告する立場のグループ会社の理解も十分とは言えませんでした。 2007年からそれらの報告方法を整理し、現在のグループ標準にまとめて対応しています。

発生区は、まず自社の本社・経営者に報告をします。報告を受けた本社部門は、その親会社や主管管理部門を経由してそれぞれのインシデントを担当するリスク主管区に報告します。リスク主管区は報告内容を確認したうえで、あらかじめ標準に定められた重大なインシデントについては、グループの経営トップに速やかに報告します。経営トップには、社長、本社部門担当の役員、内部統制担当役員、そして監査役が含まれています。

報告されるインシデント

報告されるインシデントについて、現在グループ標準では７つの項目について報告を求めています。

(１) コンプライアンス違反
グループの信頼を著しく毀損する、または企業活動に悪影響を及ぼす恐れのある会社としての各種法令違反があった場合、また、役員や従業員による業務上の不正があった場合などがこれに該当します。特に業務上の不正については、数年前まで100万円以上の被害があった場合などの基準を設けていたこともありましたが、今は金額にかかわらず、すべての不正について速やかに報告をすることを求めています。

(２) 自然災害や事故
自然災害については、国内と海外で少し基準が異なっています。国内では、震度５以上の地震があった場合、すぐに社員・家族の安否と事業所や設備への被害状況が報告されます。地震以外の災害や震度５以下の地震でも、正常な業務遂行に支障が生じる場合は同様に報告されます。海外については、自然災害はもちろんのこと、昨今特に地域における情勢変化やテロ・誘拐といった事件も頻繁に発生しています。従業員や家族が巻き込まれた場合はもちろんのこと、最近はそれらがなくても事件性が大きく報道等で大きく取り上げられた場合などは、自主的に報告がされるようになりました。

(３) 重要品質問題
世界中で発生した品質問題については、大小を問わず専用のシステムを使い本社の品質本部に報告されますが、その中で特に安全性にかかわるもの、対応に大きな費用が必要となるものなどについては、重要品質問題として経営に報告されます。

(４) 情報関連の事故・事件
最近は、社員がパソコンなどを社外で使用することが多くなっています。もちろん持ち出すことができるパソコンはHDを暗号化したり、パスワードを設定するなど複数の安全対策を行っていますが、万が一の紛失や盗難の際は速やかな報告を定めています。特に、その機器の中にお客様の情報等が含まれていた場合などは、重大な事故として経営に報告します。サイバー攻撃を受けた場合の被害などもその対象となります。

(５) 輸出入管理法違反

(６) 第三者からの損害賠償請求、公的機関による処分

(７) その他

(１) から(６)に当てはまらないインシデントについてもその重要性を確認し、その他のインシデントとして必要に応じて経営に報告しています。

2007年にインシデントの報告をグループ標準として定めた当時は、災害や事故を除きリコーグループの会社もしくは従業員が起こしたインシデントのみ報告を義務付けていましたが、現在はグループが被害者となった事件などについてもその報告の対象としています。

２年ほど前になりますが、アメリカである事件に巻き込まれかけたことがありました。当初こうした事件は報告の対象とはなっていませんでしたし、事件も未遂に終わりましたので、現地からグループ本社に報告はされませんでした。しかしながら、後日この事実が分かり、被害者側とはいえ一つ間違うと市場で誤解を受けるなど経営の大きなリスクになりかねなかったという事で、報告の項目に入っていなかったことを大きく反省するものとなりました。こうした経験から、事件の被害者となった場合を含め、必要と思われる場合は標準に定められていなくとも現場の判断で、まずは報告をするようグループ各社にお願いをしています。

入手した情報の取り扱い

報告を受けた重大なインシデントの情報は、先に述べたように速やかに経営トップに報告を行い、必要に応じて指示を受けますが、これらの情報は経営トップだけでなくグループ内で共有し、再発防止や発生時の適切な対応のため活用します。 これらのインシデントは半年に一回、発生した会社の名前や一部の情報を削除したうえで、その対応結果や再発防止策なども加え日本語と英語のレポートを作成してグループ各社に情報提供します。 この情報を受け取った各グループ会社は、各社の判断で、この情報を従業員と効果的に共有することができます。

情報の報告状況

弊部からグループ各社に対し、半年ごとに報告漏れがないかどうかの確認をしているので、この報告ルールについてはかなり認識されていていますが、それでも報告の状況や即時性にはまだまだ地域差があります。インシデントの発生はもちろん避けなければならないわけですが、それが発生した場合に報告をしなかったという事については、経営トップからも厳しく注意をしています。一歩一歩ではありますが、インシデント発生時の報告のルールとその意識が浸透しつつあります。
 

海外で発生する危機への備え

危機とは、不祥事、大規模な自然災害、重大な事件・事故・感染症、地域情勢の変化(反日運動、戦争、内乱)、テロ、強迫、誘拐　などを対象としています。海外における危機発生時の初期対応標準として、グループ本社が近くにない海外の特性に合わせ、国内とは別に標準を制定しました。

海外ではBCPの構築状況も十分とは言えません。体制はまだ地域によってばらつきが大きいので、監査部門とも協力し構築状況を継続的に確認していきます。

インシデント情報共有DBの活用

これまでは “危機”が発生した時、総務部門、人事部門、生産部門などがそれぞれ独自に情報を収集し対応していましたが、共通する情報も多く、現場に不要の負荷がかかっていました。一方で、情報によっては機微なもの(個人情報など)があり、情報の取り扱いが難しく、単純に一つの情報を共有すればよいというものでもありませんでした。

こうした課題に対応するため、現在全グループ会社で共有でき、かつ情報によって閲覧権をコントロールできる“インシデント情報共有DB”を準備しています。これはどこでも活用できるように、WEB上で入力・閲覧できるもので、言語も日本語と英語を切り替えられるものになります。本来は世界中の言語に対応できれば良いのでしょうが、情報を共有するためには英語に限定せざるを得ませんでした。そのため、発生区の入力は、英語対応できる現地の本社部門が現場の情報を入手したうえで行うことにしています。また、現場の状況をなるべく伝えられるように、データのファイルや写真なども簡単に張り付けることができます。

まだ試作段階ですが、2017年度には教育も行い使用を開始する予定です。

(了）